← España

PS-00029-2023

1/17  Expediente Nº: EXP202200956 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 22 de febrero de 2023, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a ENERGÍA COLECTIVA, S.L. (en adelante, la parte reclamada), mediante el Acuerdo que se transcribe: << Expediente N.º: EXP202200956 ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas por la Agencia Española de Protección de Datos y en base a los siguientes: HECHOS PRIMERO: Dña. A.A.A. (en adelante, la parte reclamante) con fecha 20 de diciembre de 2021 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra Energía Colectiva, S.L. con NIF B98670003 (en adelante, la parte reclamada o comercializador entrante). Los motivos en que basa la reclamación son los siguientes: La parte reclamante manifiesta que se ha producido un cambio de su comercializadora de energía eléctrica sin su consentimiento. Así las cosas, la reclamante indica que ha tenido conocimiento de la suplantación de su identidad en la contratación del suministro eléctrico con la parte reclamada, habiéndose llevado a cabo cambio de comercializadora con cambio de titular, que tenía contratado con Iberdrola Clientes, SAU. Fecha en la que tuvieron lugar los hechos reclamados: 11 de noviembre de 2021. Documentación relevante aportada por la parte reclamante: - Denuncia ante la Policía Nacional de fecha 12 de noviembre de 2021. - Nota simple del Registro de la Propiedad Madrid que acredita que la parte reclamante es titular de la vivienda. - Certificado de instalación eléctrica en baja tensión de la vivienda de fecha 4 de marzo de 2019. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/17 - Contrato de suministro de electricidad con Iberdrola Clientes, SAU y facturas de electricidad emitidas, donde consta como titular de contrato la parte reclamante; como empresa distribuidora Iberdrola Distribución Eléctrica, S.A.U. y como identificación del punto de suministro (CUPS): (...). SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a Iberdrola Clientes, SAU, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 7 de febrero de 2022 como consta en el acuse de recibo que obra en el expediente. Con fecha 3 de marzo de 2022 se recibe en esta Agencia escrito de respuesta indicando “Al parecer, y tal y como se desprende de la reclamación, una tercera persona ha realizado una contratación con otra comercializadora ajena a Iberdrola Clientes, SAU, sobre el punto de suministro de la reclamante. Por parte de Iberdrola Clientes, SAU, le confirmamos que no se ha intervenido en esa gestión, la cual desconocemos, y que no se ha proporcionado ningún dato suyo, ni a este respecto ni a ningún otro. Por nuestra parte, no podemos más que aportar la información que ya se comunicó a la reclamante: - Que consta contrato de suministro eléctrico con referencia ***TELEFONO.1 sobre el punto de suministro mencionado, con fecha de alta 18/03/2019 y fecha de baja 10/11/2021. - Que consta igualmente que la baja se realizó por comercializadora saliente, es decir, que Iberdrola Clientes, SAU recibe una comunicación por parte de la distribuidora, solicitando el cambio de comercializadora de dicho contrato, y tiene obligación de atender el mismo. Iberdrola Clientes, SAU no dispone de más datos al respecto, no tenía conocimiento de que el cambio pudiera ser no consentido, ni puede hacer otra cosa más que atender a la petición de la distribuidora y ceder su contratación. Esta actuación insistimos, nada tiene que ver con la protección de los datos personales de la reclamante, sino más bien con un trámite relacionado con el contrato que al parecer se mantiene con una comercializadora ajena a Iberdrola Clientes, SAU, sobre el punto de suministro de la reclamante”. TERCERO: Con fecha 9 de marzo de 2022, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/17 cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: ENTIDADES INVESTIGADAS Durante las presentes actuaciones se han investigado las siguientes entidades: - Iberdrola Clientes, SAU con NIF A95758389 con domicilio en Pza. Euskadi, nº 5 - 48009 Bilbao (Bizkaia) (en lo sucesivo, el comercializador saliente) - I-de Redes Eléctricas Inteligentes, S.A.U. con NIF A95075578 con domicilio en Avenida de San Adrián, Nº 48 – 48003 Bilbao (Bizkaia) (en lo sucesivo, el distribuidor) - Energía Colectiva, S.L. con NIF B98670003 con domicilio en C/ don Juan de Austria, 28 puertas 3 y 4 - 46002 Valencia (en lo sucesivo, el comercializador entrante) RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN Al objeto de investigar la ocurrencia de los hechos descritos, con fecha 14 de marzo de 2022 se realizó una solicitud de información al comercializador saliente y con fecha 16 de marzo de 2022 al distribuidor. Las respuestas a dichos requerimientos tuvieron entrada en la sede electrónica de la Agencia Española de Protección de Datos con fecha 7 de abril de 2022, la respuesta del distribuidor, y con fecha 13 de abril de 2022, la respuesta del comercializador saliente. Manifestaciones que se recogen en las respuestas El distribuidor pone de manifiesto que: - Cualquier modificación contractual que solicita un comercializador a un distribuidor se realiza mediante solicitudes digitales XML cumpliendo los formatos de intercambio entre agentes establecidos por la CNMC. - El canal de comunicación es el portal web de Gestión de puntos de suministro donde se realiza el intercambio de ficheros XML, al que únicamente tienen accesos la propia i-DE y las empresas comercializadoras. - El distribuidor es un mero ejecutor de estas solicitudes siempre y cuando cumplan ciertos condicionantes técnicos y de los propios formatos, por lo que este no realiza juicios de valor sobre si un cambio de comercializador, un cambio de titular o ambos, son procedentes dentro de la relación habitual y contractual entre el cliente y la empresa comercializadora, ni tampoco recibe ningún tipo de documentación acreditativa de la firma del contrato entre el cliente final y el comercializador. - En una solicitud de cambio de comercializador con cambio de titular, al ser una solicitud estrictamente administrativa, no se solicita ningún tipo de documentación técnica, como pudiera ser el Certificado de Instalaciones Eléctricas (CIE), el Acta C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/17 de Puesta en Servicio (APM) o similar, y por tanto es suficiente con la propia solicitud XML que tiene validez legal a todos los efectos. El comercializador saliente pone de manifiesto que: - Como comercializadora saliente no tiene control alguno sobre el cambio de un cliente suyo a otro comercializador. - El único agente que interactúa con la comercializadora saliente es la distribuidora, sin que la comercializadora entrante ni el cliente interactúen con la comercializadora saliente. - La única información que recibió en relación con el cambio (objeto de este Expediente) es el mensaje XML de la distribuidora “baja por comercializador saliente” que guarda y custodia junto con el resto de la documentación contractual. Con fecha 21 de abril de 2022 se solicitó información al comercializador entrante y con fechas 13 y 19 de mayo de 2022 su respuesta tuvo entrada en la sede electrónica y en el registro de la Agencia, respectivamente.  Solicitud de la dirección de suministro y CUPS Se aporta la grabación telefónica en la que se lleva a cabo la contratación de la luz por parte del nuevo titular para su nueva vivienda habitual y en la conversación que mantiene con el agente del comercializador entrante le facilita los siguientes datos: - CUPS, distinto del CUPS de la vivienda propiedad de la parte reclamante. - Dirección del punto de suministro: “***DIRECCION.1, ellos ponen ***PISO.2, pero en realidad en el ***PISO.2 hay ***PISO.2 A, ***PISO.2 izquierda, y ***PISO.2 derecha y yo estoy en el ***PISO.1”, reitera “***PISO.1”, añade “debió de haber un error a la hora de hacer el contrato y pusieron ***PISO.2 y aquí en el ***PISO.2 viven dos personas que no son yo, son dos vecinas diferentes” y repite de nuevo la dirección: “***DIRECCION.1, ***PISO.1”. En relación con la dirección del punto de suministro facilitada por el nuevo titular, el comercializador entrante señala y acredita documentalmente que en el portal que el distribuidor pone a disposición del comercializador entrante para realizar la solicitud de cambio de comercializador, en relación con la finca ***DIRECCION.1 hay dos referencias: ***REFERENCIA.1 y ***REFERENCIA.2. - La dirección de suministro que aparece al seleccionar ***REFERENCIA.1 es ***DIRECCION.1, ***PISO.1 – Madrid y el CUPS: (...), CUPS de la vivienda propiedad de la parte reclamante - La dirección de suministro que aparece al seleccionar ***REFERENCIA.2 es ***DIRECCION.1 ***PISO.2 – Madrid y el CUPS: ***CUPS.1, CUPS que el nuevo titular facilitó en el marco de la contratación por vía telefónica. Y adicionalmente, añade como “Posible causa de los hechos que motivan el requerimiento”: Tras hacer las comprobaciones oportunas en lo que respecta a este caso, hemos localizado lo que sospechamos puede ser el origen de los hechos que han dado lugar al presente requerimiento de información. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/17 Como indica el nuevo titular en la llamada, en el contrato con Iberdrola la dirección que consta es la de “***PISO.2” y especifica en varias ocasiones que la puerta correcta sería el “sótano - patio”. Como puede comprobarse en el portal que la distribuidora pone a disposición de la comercializadora para la gestión de sus actividades en relación con la finca ***DIRECCION.1, hay 2 referencias ***REFERENCIA.1 y ***REFERENCIA.2. Es decir, las direcciones asociadas a los CUPS están intercambiadas, de modo que en el CUPS acabado en 07HV la dirección que consta en la distribuidora es ***DIRECCION.1 ESC. 1 ***PISO.2 y el CUPS que acaba en 04HZ es el que consta en la distribuidora como sótano 1, por lo que pudo existir un error humano a la hora de tramitar el switching.  Contrato de suministro eléctrico Se aporta copia del contrato firmado por el nuevo titular con fecha 8 de noviembre de 2021 y se comprueba que la dirección del punto de suministro y el código CUPS que incluye son los de la vivienda propiedad de la parte reclamante.  Tramitación del cambio de comercializadora o switching El distribuidor señala y acredita documentalmente que con fecha 8 de noviembre de 2021, el comercializador entrante realizó solicitud de cambio de comercializador sin cambio de titular y que fue rechazada por el distribuidor porque el titular facilitado en la misma era el nuevo titular, no coincidente con el titular que le constaba vigente al distribuidor hasta ese momento, la parte reclamante. En la solicitud XML que el comercializador entrante intercambió con el distribuidor los datos que se facilitan son datos del nuevo titular y el CUPS de la vivienda propiedad de la parte reclamante. El comercializador entrante traslada en su respuesta que, tras la objeción del distribuidor al cambio de comercializador, el 9 de noviembre de 2021 solicitó al nuevo titular la verificación de los datos aportados. Y aporta captura de pantalla dirigida al nuevo titular con la siguiente información: NECESITAMOS UNA COMPROBACIÓN Hemos gestionado tu solicitud de alta con la distribuidora de tu zona, distribuidor, y nos informa que el contrato vigente no está a tu nombre. Necesitamos confirmar que el punto de suministro que se encuentra en “C/ ***DIRECCION.1 ***PISO.1” es realmente un cambio de titular, es decir, que los recibos de la luz iban a nombre de otra persona. ¿Podrías verificarlo, por favor? Es importante que nos facilites el CUPS, que está en cualquier de las facturas de tu anterior compañía, para seguir adelante con los trámites, Así evitaremos errores de gestión. Si no lo encuentras, no te preocupes, envíanos la última factura y lo buscamos nosotros. Gracias por tu colaboración, en cuanto nos confirmes esto, lo volveremos a enviar a la distribuidora. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/17 No se aporta la contestación del nuevo titular a esta solicitud. Asimismo, el comercializador entrante añade en su respuesta: “Se debió verificar el nuevo CUPS, mediante nueva aportación del mismo por parte del cliente, ya que de lo contrario no se habría activado. Así está explicitado en el procedimiento que siguen nuestras contratas, que para poder relanzar el switching el cliente debe decir el CUPS de manera clara y precisa. Esta llamada fue realizada por una de nuestras plataformas habituales, Global Sales Solutions (GSS) perteneciente al Grupo Covisian, llamada que se codificó de la siguiente forma: SFID: GS002004, 09/11/2021, 18:24:01 Al solicitar a GSS la llamada con la finalidad de aportarla al presente procedimiento, nos indican que no la localizan y que esto puede deberse a un error humano, es más, nos informan que el agente responsable de esa llamada fue retirado del servicio con fecha 16 de noviembre por mala praxis cuya naturaleza no nos ha sido desvelada”. Y aporta captura de pantalla del correo electrónico recibido de Covisian, con fecha 11 de mayo de 2022, en el que es informado de lo indicado en el párrafo anterior. Con fecha 10 de noviembre de 2021, el comercializador entrante solicitó al distribuidor un cambio de comercializador junto con un cambio de titular a nombre del nuevo titular. En la solicitud XML que el comercializador entrante intercambió con el distribuidor los datos que se facilitan son datos del nuevo titular y el CUPS de la vivienda propiedad de la parte reclamante. El cambio se hizo efectivo el 11 de noviembre de 2021. Con fecha 22 de abril 2022 tuvieron entrada en la Agencia nuevos escritos de la parte reclamante. En estos escritos repite parte del contenido ya incluido en la reclamación presentada, informa de que se personó en las oficinas del comercializador saliente donde le comentaron “que podía volver a darse de alta con ellos de nuevo, indicándome que tan solo necesito llevarles mi contrato anterior con ellos y alguna factura que confirmase el contrato que he mantenido con ellos previamente”. CONCLUSIONES - Con fecha 10 de noviembre de 2021 el comercializador entrante realizó solicitud de cambio de comercializador con cambio de titular al distribuidor para el nuevo titular y su nueva vivienda habitual. En la solicitud XML que el comercializador entrante intercambió con el distribuidor, los datos que se facilitan son datos del nuevo titular y el CUPS de la vivienda propiedad de la parte reclamante. Con fecha 11 de noviembre de 2021 se hizo efectivo el cambio. - En el contrato de suministro de energía eléctrica suscrito por el nuevo titular con el comercializador entrante con fecha 8 de noviembre de 2021, los datos del punto de suministro, dirección y CUPS, que se incluyen son los de la vivienda propiedad de la parte reclamante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/17 - El comercializador entrante no acredita que el nuevo titular le aportara, en el marco de la contratación de los servicios de energía, el CUPS de la vivienda propiedad de la parte reclamante como CUPS de su nueva vivienda. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” II Obligación incumplida Se imputa a la parte reclamada la comisión de una infracción por vulneración del artículo 6.1 del RGPD. El artículo 6 del RGPD, ***PISO.2 la rúbrica “Licitud del tratamiento”, detalla en su apartado 1 los supuestos en los que el tratamiento de datos es considerado lícito: “1. El tratamiento sólo será lícito si cumple al menos una de las siguientes condiciones:

  1. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
  2. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
  3. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
  4. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
  5. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
  6. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/17 intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
  7. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones.” A su vez, el artículo 6.1 de la LOPDGDD, indica, sobre el tratamiento de los datos personales basado en el consentimiento del afectado que: “1. De conformidad con lo dispuesto en el artículo 4.11 del Reglamento (UE) 2016/679, se entiende por consentimiento del afectado toda manifestación de voluntad libre, específica, informada e inequívoca por la que este acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen (…)”. III Tipificación de la infracción del artículo 6 del RGPD La infracción del artículo 6 de la que se responsabiliza a la parte reclamada en el presente acuerdo de inicio se encuentra tipificada en el artículo 83 del RGPD que, ***PISO.2 la rúbrica “Condiciones generales para la imposición de multas administrativas”. “5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 Eur como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  8. a)Los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5,6,7 y 9”. La LOPDGDD, a efectos de la prescripción de la infracción, califica en su artículo 72.1 de infracción muy grave, siendo en este caso el plazo de prescripción de tres años, “
  9. b)El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE)2016/679.” De conformidad con las evidencias de las que se dispone en el presente momento de acuerdo de inicio del procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, se considera que los hechos expuestos podrían suponer la vulneración de lo dispuesto en el artículo 6.1 del RGPD. La documentación que obra en el expediente pone de manifiesto que la conducta de la parte reclamada (comercializador entrante) contraria al principio de licitud, ha consistido en que el 10 de noviembre de 2021, el comercializador entrante solicitó al distribuidor un cambio de comercializador junto con un cambio de titular a nombre del nuevo titular. Así pues, resulta que el comercializador entrante intercambió con el distribuidor los datos del punto de suministro, dirección y código CUPS, de la vivienda propiedad de la parte reclamante. El cambio se hizo efectivo el 11 de noviembre de 2021. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/17 Hay que destacar que el contrato de suministro de energía eléctrica suscrito por el nuevo titular con la parte reclamada con fecha 8 de noviembre de 2021, los datos del punto de suministro, dirección y código CUPS, que se incluyen son los de la vivienda propiedad de la parte reclamante. Asimismo, la parte reclamada (comercializador entrante) no acredita que el nuevo titular aportara, en el marco de la contratación de los servicios de energía, el código CUPS de la vivienda propiedad de la parte reclamante. Hay que precisar que el nuevo titular facilito el número del CUPS para cuyo punto de suministro quería contratar la energía eléctrica. Por otra parte, la reclamada manifiesta que “Esta llamada fue realizada por una de nuestras plataformas habituales, Global Sales Solutions (GSS) perteneciente al Grupo Covisian, llamada que se codificó de la siguiente forma: SFID: GS002004, 09/11/2021, 18:24:01 Al solicitar a GSS la llamada con la finalidad de aportarla al presente procedimiento, nos indican que no la localizan y que esto puede deberse a un error humano, es más, nos informan que el agente responsable de esa llamada fue retirado del servicio con fecha 16 de noviembre por mala praxis cuya naturaleza no nos ha sido desvelada”. Sentado lo anterior, cabe añadir que, de las circunstancias que relaciona el artículo 6.1 del RGPD en las que a priori podría fundarse la licitud del tratamiento efectuado por la parte reclamada, la única que podría invocar como base jurídica del tratamiento realizado sería el apartado b): “el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;” Esta circunstancia legitima el tratamiento de los datos que conciernen a quien es parte en un contrato y que resulta necesario para su ejecución o es necesario tratar con carácter precontractual. En ningún caso puede servir de fundamento para tratar datos ajenos a quien es parte en el contrato, por lo que aquí interesa, un número de CUPS que no corresponde al punto de suministro de la vivienda para la cual el cliente solicita a la parte reclamada la contratación del suministro eléctrico, sino que está asociado a la vivienda de un tercero, la parte reclamante. El artículo 5.2. del RGPD recoge el principio de responsabilidad proactiva en virtud del cual el responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de demostrar su cumplimiento. El principio de proactividad transfiere al responsable del tratamiento la obligación no solo de observar los principios que presiden el tratamiento, también la de poder demostrar dicho cumplimiento. El artículo 5.2 del RGPD se desarrolla en el artículo 24 del RGPD que obliga al responsable a adoptar las medidas técnicas y organizativas que sean apropiadas “para garantizar y poder demostrar” que el tratamiento ha sido conforme con el RGPD. El precepto establece: “Responsabilidad del responsable del tratamiento” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/17 “1. Teniendo en cuenta la naturaleza, el ámbito, el contexto y los fines del tratamiento, así como los riesgos de diversa probabilidad y gravedad para los derechos y libertades de las personas físicas, el responsable del tratamiento aplicará medidas técnicas y organizativas apropiadas a fin de garantizar y poder demostrar que el tratamiento es conforme con el presente Reglamento. Dichas medidas se revisarán y actualizarán cuando sea necesario. 2.Cuando sean proporcionadas en relación con las actividades de tratamiento, entre las medidas mencionadas en el apartado 1 se incluirá la aplicación, por parte del responsable del tratamiento, de las oportunas políticas de protección de datos. 3.La adhesión a códigos de conducta aprobados a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrán ser utilizados como elementos para demostrar el cumplimiento de las obligaciones por parte del responsable del tratamiento.” En el supuesto que examinamos el responsable del tratamiento la parte reclamada debía tener implantadas medidas organizativas que le permitieran garantizar la licitud del tratamiento efectuado: que los datos personales tratados concernían realmente a su cliente y no a terceras personas, pues solo en tal caso el tratamiento podía fundarse en la base jurídica del artículo 6.1.
  10. b)del RGPD y reputarse lícito. Estaba obligada a verificar y poder acreditar que su cliente, como consecuencia de un traspaso de uso, cualquiera que fuera el título jurídico que lo amparase, era el nuevo usuario de la vivienda correspondiente al punto de suministro y que el CUPS que iba a tratar coincidía con el del punto de suministro para el que el cliente solicitaba contratar. La comprobación de esos extremos y la obtención y conservación de la documentación que así lo acreditara era una medida necesaria conforme al artículo 6.1 en conexión con el artículo 5.2 del RGPD, puesto que, como se ha explicado, si el dato del CUPS es inexacto y no coincide con el del punto de suministro de la vivienda del cliente de la comercializadora entrante su tratamiento no resulta lícito, al menos la base jurídica de ese tratamiento no podrá ser la circunstancia el apartado
  11. b)del artículo 6.1. del RGPD. Como se ha indicado, el artículo 24 del RGPD, que desarrolla el artículo 5.2, obliga al responsable del tratamiento a adoptar las medidas técnicas y organizativas que resulten adecuadas para “garantizar y poder demostrar que el tratamiento es conforme con el presente Reglamento” y remite para valorar la necesidad e idoneidad de las medidas a estos criterios: la “naturaleza”, el ámbito, el contexto y los fines del tratamiento” y “los riesgos [....] para los derechos y libertades de las personas físicas”. Cuando una comercializadora eléctrica gestiona a petición de un cliente un cambio de comercializadora para un determinado punto de suministro trata diversos datos personales de su nuevo cliente, entre ellos el dato del CUPS del punto de suministro y el tratamiento efectuado repercute en la información que se traslada al sistema de información de puntos de suministro (SIPS) del distribuidor de zona. Si, además, como aquí ha acontecido, la comercializadora gestiona ante el distribuidor, en calidad de mandatario del cliente entrante, un cambio de titularidad del CUPS, el alcance del tratamiento tiene una extraordinaria relevancia para el SIPS y un gran riesgo para los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/17 derechos de los clientes caso de que el CUPS no se corresponda con el del punto de suministro del cliente entrante. En definitiva, la particular naturaleza y alcance de los datos personales tratados con ocasión de las gestiones de cambio de comercializador con y sin cambio simultáneo de titular, la finalidad que se persigue con ese tratamiento y los riesgos que su tratamiento puede entrañar para los derechos de terceros, determina que las comercializadoras estén obligadas a adoptar las medidas organizativas y técnicas idóneas para garantizar el cumplimiento de las obligaciones que les impone el RGPD. De conformidad con las evidencias de las que se dispone en esta fase de acuerdo de inicio del procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, se concluye que la parte reclamada, podría haber incurrido en una infracción del artículo 6.1 del RGPD, por cuanto, con ocasión de un cambio de comercializadora con cambio simultaneo de titular que le solicitó su cliente, trató sin base jurídica alguna el dato del código CUPS eléctrico de la vivienda de la parte reclamante. IV Propuesta de sanción A fin de establecer la multa administrativa que procede imponer han de observarse las previsiones contenidas en el artículo 83 del RGPD, que señala: “1. Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 5 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias. 2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
  12. a)a
  13. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
  14. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
  15. b)la intencionalidad o negligencia en la infracción;
  16. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
  17. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
  18. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/17
  19. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
  20. g)las categorías de los datos de carácter personal afectados por la infracción;
  21. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
  22. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
  23. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
  24. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción.” Respecto de este último apartado
  25. k)del artículo 83.2 del RGPD, la LOPDGDD, artículo 76, “Sanciones y medidas correctivas”, dispone: “2. De acuerdo a lo previsto en el artículo 83.2.
  26. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
  27. a)El carácter continuado de la infracción.
  28. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
  29. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  30. d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
  31. e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
  32. f)La afectación a los derechos de los menores.
  33. g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
  34. h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado.” De acuerdo con los preceptos transcritos, y sin perjuicio de lo que resulte de la instrucción del procedimiento, a efectos de fijar el importe de la sanción de multa a imponer a la entidad reclamada como responsable de una infracción de lo dispuesto C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/17 en el artículo 6.1 del RGPD, tipificada en el artículo 83.5.
  35. a)del RGPD, en una valoración inicial, se estiman concurrentes en el presente caso los siguientes factores: En calidad de agravantes: - La evidente vinculación entre la actividad empresarial de la reclamada y el tratamiento de datos personales de clientes o de terceros (artículo 83.2.k, del RGPD en relación con el artículo 76.2.b, de la LOPDGDD). - Artículo 83.2.
  36. b)la intencionalidad o negligencia en la infracción; La parte reclamada ha obrado con una grave falta de diligencia en el tratamiento efectuado con ocasión del desarrollo de la actividad empresarial que le es propia. A propósito del grado de diligencia que está obligado a desplegar en el cumplimiento de la normativa de protección de datos, cabe citar la SAN de 17/10/2007 (rec. 63/2006), que pese a haberse dictado ***PISO.2 la vigencia de la anterior normativa resulta plenamente aplicable. Se recoge en ella que “[...] el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, [...] “ Artículo 83.2.
  37. d)“el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32.” La parte reclamada, no adoptó las medidas organizativas a las que se refiere el artículo 25 del RGPD y que resultaban indispensables en el supuesto de hecho planteado para garantizar el respeto del principio de licitud: la comprobación de que el CUPS que iba a ser objeto de tratamiento coincidía con el del punto de suministro facilitado por el cliente. Procede graduar la sanción a imponer a la reclamada y fijarla en la cuantía de 70.000 € (setenta mil euros) por la infracción del artículo 6 del RGPD tipificada en el artículo 83.5
  38. a)RGPD. No se aprecia la concurrencia de circunstancias atenuantes. Por lo tanto, a tenor de lo anteriormente expuesto, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: INICIAR PROCEDIMIENTO SANCIONADOR a ENERGÍA COLECTIVA, S.L. con NIF B98670003, por la presunta infracción de lo dispuesto en el artículo 6.1 del RGPD, tipificada en el artículo 83.5.
  39. a)del RGPD SEGUNDO: NOMBRAR como instructor a R.R.R. y, como secretaria, a S.S.S., indicando que cualquiera de ellos podrá ser recusado, en su caso, conforme a lo establecido en los artículos 23 y 24 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (LRJSP). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/17 TERCERO: INCORPORAR al expediente sancionador, a efectos probatorios, la reclamación interpuesta por la parte reclamante y su documentación, así como los documentos obtenidos y generados por la Subdirección General de Inspección de Datos en las actuaciones previas al inicio del presente procedimiento sancionador. CUARTO: Que, a los efectos previstos en el artículo 64.2
  40. b)de la LPACAP, la sanción que pudiera corresponder sería una multa administrativa por importe de 70.000€ (setenta mil euros). QUINTO: NOTIFICAR el presente acuerdo a ENERGÍA COLECTIVA, S.L. con NIF B98670003, otorgándole un plazo de audiencia de diez días hábiles para que formule las alegaciones y presente las pruebas que considere convenientes. En su escrito de alegaciones deberá facilitar su NIF y el número de procedimiento que figura en el encabezamiento de este documento. Si en el plazo estipulado no efectuara alegaciones a este acuerdo de inicio, el mismo podrá ser considerado propuesta de resolución, según lo establecido en el artículo 64.2.
  41. f)de la Ley 39/2015, de 1 la LPACAP. De conformidad con lo dispuesto en el artículo 85 de la LPACAP, podrá reconocer su responsabilidad dentro del plazo otorgado para la formulación de alegaciones al presente acuerdo de inicio lo que llevará aparejada una reducción de un 20% de la sanción que proceda imponer en el presente procedimiento. Con la aplicación de esta reducción, la sanción quedaría establecida en 56.000€ (cincuenta y seis mil euros), resolviéndose el procedimiento con la imposición de esta sanción. Del mismo modo, podrá, en cualquier momento anterior a la resolución del presente procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que supondrá la reducción de un 20% de su importe. Con la aplicación de esta reducción, la sanción quedaría establecida en 56.000€ (cincuenta y seis mil euros) y su pago implicará la terminación del procedimiento. La reducción por el pago voluntario de la sanción es acumulable a la que corresponde aplicar por el reconocimiento de la responsabilidad, siempre que este reconocimiento de la responsabilidad se ponga de manifiesto dentro del plazo concedido para formular alegaciones a la apertura del procedimiento. El pago voluntario de la cantidad referida en el párrafo anterior podrá hacerse en cualquier momento anterior a la resolución. En este caso, si procediera aplicar ambas reducciones, el importe de la sanción quedaría establecido en 42.000€ (cuarenta y dos mil euros). En todo caso, la efectividad de cualquiera de las dos reducciones mencionadas estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. En caso de que optara por proceder al pago voluntario de cualquiera de las cantidades señaladas anteriormente (56.000€ o 42.000€), deberá hacerlo efectivo mediante su ingreso en la cuenta nº IBAN: ES00-0000-0000-0000-0000-0000 abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A., indicando en el concepto el número de referencia del procedimiento que figura en el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/17 encabezamiento de este documento y la causa de reducción del importe a la que se acoge. Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de Inspección para continuar con el procedimiento en concordancia con la cantidad ingresada. El procedimiento tendrá una duración máxima de nueve meses a contar desde la fecha del acuerdo de inicio o, en su caso, del proyecto de acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones; de conformidad con lo establecido en el artículo 64 de la LOPDGDD. Por último, se señala que conforme a lo establecido en el artículo 112.1 de la LPACAP, contra el presente acto no cabe recurso administrativo alguno. Mar España Martí Directora de la Agencia Española de Protección de Datos >> SEGUNDO: En fecha 9 de marzo de 2023, la parte reclamada ha procedido al pago de la sanción en la cuantía de 42000 euros haciendo uso de las dos reducciones previstas en el Acuerdo de inicio transcrito anteriormente, lo que implica el reconocimiento de la responsabilidad. TERCERO: El pago realizado, dentro del plazo concedido para formular alegaciones a la apertura del procedimiento, conlleva la renuncia a cualquier acción o recurso en vía administrativa contra la sanción y el reconocimiento de responsabilidad en relación con los hechos a los que se refiere el Acuerdo de Inicio. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Terminación del procedimiento C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/17 El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP), ***PISO.2 la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente.” De acuerdo con lo señalado, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR la terminación del procedimiento EXP202200956, de conformidad con lo establecido en el artículo 85 de la LPACAP. SEGUNDO: NOTIFICAR la presente resolución a ENERGÍA COLECTIVA, S.L.. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
  42. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 936-040822 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/17 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.